diff --git a/clusters/homelab/apps/synapse/helmrelease.yaml b/clusters/homelab/apps/synapse/helmrelease.yaml
index ff9e61f..7304629 100644
--- a/clusters/homelab/apps/synapse/helmrelease.yaml
+++ b/clusters/homelab/apps/synapse/helmrelease.yaml
@@ -5,73 +5,68 @@ metadata:
   namespace: synapse
 spec:
   interval: 1h
+
   chart:
     spec:
       chart: matrix-stack
-      version: ">=0.1.0"
+      version: ">=26.4.0"
       sourceRef:
         kind: HelmRepository
         name: ess-helm
         namespace: synapse
-  values:
-    # Server-Identität — permanent, niemals ändern nach erstem Deploy
-    serverName: commatrix.net-scope.org  # VERIFY: ggf. matrix.hostname
 
-    # Internes PostgreSQL deaktivieren — wir nutzen CNPG
+  values:
+    serverName: commatrix.net-scope.org
+
+    # ❌ kein embedded PostgreSQL
     postgresql:
       enabled: false
 
     synapse:
       enabled: true
-      # Kein Kubernetes Ingress — Cloudflare Tunnel routet direkt zum Service
-      ingress:
-        enabled: false
-      # Signing Key aus SOPS Secret (einmalig generiert, nie ersetzen)
-      signingKey:  # VERIFY: exakten Pfad gegen values.yaml prüfen
-        existingSecret:
-          name: synapse-secret
-          key: SIGNING_KEY
-      # Externe CNPG-Datenbank
-      postgresql:  # VERIFY
+
+      # ❌ kein Ingress (Cloudflare Tunnel macht Routing)
+      ingress: {}
+
+      signingKey:
+        secret: synapse-secret
+        secretKey: SIGNING_KEY
+
+      postgresql:
         host: synapse-db-rw.synapse.svc.cluster.local
         port: 5432
         database: synapse
         username: synapse
         sslMode: require
         password:
-          existingSecret:
-            name: synapse-secret
-            key: SYNAPSE_DB_PASSWORD
+          secret: synapse-secret
+          secretKey: SYNAPSE_DB_PASSWORD
 
-    # Medien-Storage: lokale PVC — ausreichend für Homelab
-      persistence:  # VERIFY
+      persistence:
         enabled: true
         size: 10Gi
         storageClass: longhorn
 
     matrixAuthenticationService:
       enabled: true
-      ingress:
-        enabled: false
-      postgresql:  # VERIFY
+      ingress: {}
+
+      postgresql:
         host: mas-db-rw.synapse.svc.cluster.local
         port: 5432
         database: mas
         username: mas
         sslMode: require
         password:
-          existingSecret:
-            name: synapse-secret
-            key: MAS_DB_PASSWORD
+          secret: synapse-secret
+          secretKey: MAS_DB_PASSWORD
 
     elementWeb:
       enabled: true
-      ingress:
-        enabled: false
+      ingress: {}
 
     elementAdmin:
       enabled: false
 
-    # Element Call braucht UDP — nicht über Cloudflare Tunnel möglich
     matrixRtc:
       enabled: false
diff --git a/clusters/homelab/apps/synapse/helmrelease.yaml.old b/clusters/homelab/apps/synapse/helmrelease.yaml.old
new file mode 100644
index 0000000..ff9e61f
--- /dev/null
+++ b/clusters/homelab/apps/synapse/helmrelease.yaml.old
@@ -0,0 +1,77 @@
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: ess
+  namespace: synapse
+spec:
+  interval: 1h
+  chart:
+    spec:
+      chart: matrix-stack
+      version: ">=0.1.0"
+      sourceRef:
+        kind: HelmRepository
+        name: ess-helm
+        namespace: synapse
+  values:
+    # Server-Identität — permanent, niemals ändern nach erstem Deploy
+    serverName: commatrix.net-scope.org  # VERIFY: ggf. matrix.hostname
+
+    # Internes PostgreSQL deaktivieren — wir nutzen CNPG
+    postgresql:
+      enabled: false
+
+    synapse:
+      enabled: true
+      # Kein Kubernetes Ingress — Cloudflare Tunnel routet direkt zum Service
+      ingress:
+        enabled: false
+      # Signing Key aus SOPS Secret (einmalig generiert, nie ersetzen)
+      signingKey:  # VERIFY: exakten Pfad gegen values.yaml prüfen
+        existingSecret:
+          name: synapse-secret
+          key: SIGNING_KEY
+      # Externe CNPG-Datenbank
+      postgresql:  # VERIFY
+        host: synapse-db-rw.synapse.svc.cluster.local
+        port: 5432
+        database: synapse
+        username: synapse
+        sslMode: require
+        password:
+          existingSecret:
+            name: synapse-secret
+            key: SYNAPSE_DB_PASSWORD
+
+    # Medien-Storage: lokale PVC — ausreichend für Homelab
+      persistence:  # VERIFY
+        enabled: true
+        size: 10Gi
+        storageClass: longhorn
+
+    matrixAuthenticationService:
+      enabled: true
+      ingress:
+        enabled: false
+      postgresql:  # VERIFY
+        host: mas-db-rw.synapse.svc.cluster.local
+        port: 5432
+        database: mas
+        username: mas
+        sslMode: require
+        password:
+          existingSecret:
+            name: synapse-secret
+            key: MAS_DB_PASSWORD
+
+    elementWeb:
+      enabled: true
+      ingress:
+        enabled: false
+
+    elementAdmin:
+      enabled: false
+
+    # Element Call braucht UDP — nicht über Cloudflare Tunnel möglich
+    matrixRtc:
+      enabled: false